Noch sicher ist natürlich, wenn das CGI-Verzeichnis außerhalb Documentroot ist.

Wenn es nur einen ScriptAlias gibt, klappt das mit Dateieindungen nicht mehr.
Aber wieso nach Dateieendungen eingrenzen? Das geht ja nicht auf jedem vorkonfigurierten System.
Das cgi-bin-Verzeichnis ist ja für binäre und CGI-Skripte gedacht, das war schon lang so. Sicher lässt sich das Verzeichnis bei entsprechender Konfiguration auch für andere Dateien missbrauchen.